重定位表

什么是重定位表

当一个PE文件执行时会加载多个PE文件,而每个被加载的PE文件都有它在内存展开后的起始地址, 这个地址是由此PE文件的imagebase(基址)所决定的

若前面的PE文件占用了后面PE文件的地址, 则后面的PE文件需要重新设置基址, 然后通过重定位表对所有的重定位信息进行修改，而所有的重定位信息都存储在重定位表中

通常一个PE文件会有多张重定位表

重定位表的位置

如下代码是重定位表的结构体定义代码

typedef struct _IMAGE_BASE_RELOCATION{
    DWORD VirtualAddress;  //重定位表开始地址
    DWORD SizeOfBlock;   //重定位表大小 
}IMAGE_BASE_RELOCATION;
typedef IMAGE_BASE_RELOCATION,*PIMAGE_BASE_RELOCATION 
1
2
3
4
5

下图包含3个重定位表，最前面弱绿色部分的表格是第一个重定位表, 前8个字节分别存储重定位表的起始地址及其大小,后面的字节存储着需修正的地址,但起始有些地址不需要修正的,后面会详细说明如何确定哪些地址不需要修正

由此可见,一个PE文件可有多个重定义表，那么如何来确定具体有多少个呢?

绿色部分的表格存储了8个0字节, 这也代表着重定位表结构数量的截止位置,因此可以确定一共有3个重定位表

​

确定重定位表中需修正的地址

重定位表中存储需修正的地址是以二进制的方式进行存储, 所以一个字节存储着8个位的二进制

可以通过高4位来确定这个地址是否要被修正

例如00110011,这个地址的高四位是0011, 换算成十进制值为3, 则这个地址是要被修正的; 而00010011的高四位是0001,换算成十进制值是1,并不等于3, 所以这个值是不用被修正的

类似00010011这些地址为什么不用修正都存储在重定位表中呢? 因为这些地址是内存对齐后的间隙地址, 属于无用数据

为了节省重定位表的存储空间, 将需修正的地址分两部分进行存储,例如下图所示，将401122分为400000与1122